Matt Corallo alertó el 30 de octubre de la vulnerabilidad CVE-2026-98432 del kernel de Linux, y Lightning Labs publicó LND 0.20.7, una versión que cierra la vía de explotación demostrada a través de los nodos Lightning. Si ejecutas LND en Linux, tienes que dar tres pasos, por este orden.
Qué es CVE-2026-98432
El fallo afecta al código del handshake TCP IPv4 del kernel de Linux y tiene una puntuación CVSS de 9,8. Corallo lo calificó en X como "la vulnerabilidad más crítica de Linux jamás vista".
Según las notas de la versión de LND 0.20.7, el exploit remoto demostrado requiere un listener de Multipath TCP (MPTCP). Go 1.24+ activa MPTCP por defecto, así que LND 0.20.x exponía esos listeners en sus puertos de peers, gRPC y REST. Windows y macOS no se ven afectados.
Qué ha cambiado Lightning Labs
- Los binarios de LND 0.20.7 ya no abren listeners MPTCP y recuperan el TCP simple como transporte por defecto
- El cambio es una mitigación, no una solución: el fallo del kernel no es exclusivo de MPTCP
- La cuenta oficial de Lightning Labs recomendó la actualización
en X
- Cuando tu kernel esté parcheado, puedes volver a activar MPTCP con GODEBUG=multipathtcp=1
Los tres pasos, por orden
Lightning Labs pide a los operadores de Linux que den los tres pasos en este orden. La nueva versión protege solo LND, no otros servicios de la misma máquina.
Paso | Acción | Qué cubre |
|---|---|---|
1 | Actualizar a LND 0.20.7 | Cierra la vía de explotación demostrada a través de LND |
2 | sudo sysctl -w net.mptcp.enabled=0 | Otros servicios del host |
3 | Instalar el kernel parcheado de tu distribución | La única solución al fallo del propio kernel |
Para que el paso 2 se mantenga tras reiniciar, ejecuta también: echo 'net.mptcp.enabled = 0' | sudo tee /etc/sysctl.d/90-disable-mptcp.conf. Si el comando indica que la clave no existe, tu kernel no es compatible con MPTCP y no está expuesto por esta vía.
Docker, verificación y alternativas
El ajuste de MPTCP se aplica por espacio de nombres de red. Si LND se ejecuta en Docker, pasa --sysctl net.mptcp.enabled=0 al contenedor o usa la regla de firewall de la issue 11455, que cubre todos los espacios de nombres.
Verifica con sudo ss -Mlnp | grep lnd: el comando no debería mostrar nada. Si todavía no puedes actualizar, inicia el binario actual con GODEBUG=multipathtcp=0.
Desactivar MPTCP solo cierra el exploit demostrado. No vuelvas a activar MPTCP con GODEBUG=multipathtcp=1 hasta que tu kernel esté parcheado.